Ein Lösungsarchitekt entwirft eine AWS-Lösung mit mehreren Konten unter Verwendung von AWS Organizations und hat Konten in Organisationseinheiten (OUs) angeordnet. Der Architekt muss alle Änderungen an der OU-Hierarchie erkennen und das Betriebsteam mit dem GERINGSTEN Betriebsaufwand über diese Änderungen benachrichtigen. Welche Lösung erfüllt diese Anforderungen?

Die korrekte Antwort ist, AWS Control Tower zu verwenden und Konto-Drift-Benachrichtigungen zu nutzen. AWS Control Tower ist eine bewährte Methode zur Einrichtung und Verwaltung einer Multi-Account-AWS-Umgebung und bietet integrierte Funktionen zur Erkennung von Abweichungen (Drift Detection) in der OU-Struktur. Diese Benachrichtigungen werden automatisch generiert, wenn Änderungen an der OU-Hierarchie außerhalb von Control Tower vorgenommen werden, was den Betriebsaufwand minimiert. Die Option mit aggregierten AWS Config-Regeln ist weniger geeignet, da Config-Regeln primär zur Überwachung von Ressourcenkonfigurationen dienen und nicht direkt für die Erkennung von OU-Hierarchie-Änderungen optimiert sind. Die Verwendung von AWS Service Catalog oder CloudFormation zur Kontoerstellung ist zwar möglich, aber diese Dienste bieten keine integrierte, automatische Drift-Erkennung speziell für OU-Hierarchie-Änderungen mit geringem Betriebsaufwand wie Control Tower. CloudTrail kann Änderungen protokollieren, erfordert aber zusätzlichen Aufwand für die Analyse und Benachrichtigung, was nicht dem "geringsten Betriebsaufwand" entspricht.